您有 10 個 VM、一個名為 Vault1 的 Key Vault，以及一個名為 NSG1 且會阻擋所有輸出網際網路流量的 NSG。所有資源都位於美國東部。您需要讓 VM 能夠存取 Vault1，同時使用最低權限和最少工作。您應該將什麼設定為 NSG1 輸出安全性規則中的目的地？

服務標籤是正確選項，因為它們代表一組 IP 位址前綴，可協助您將網路安全性規則的複雜性降到最低。使用服務標籤，您可以指定 Azure 服務（例如 Key Vault）作為目的地，而無需手動維護特定的 IP 位址範圍。這符合最低權限和最少工作的原則，因為 Azure 會自動更新服務標籤所包含的 IP 位址。 應用程式安全群組 (ASG) 用於將虛擬機器分組，並定義基於這些群組的網路安全性原則，而不是用於指定 Azure 服務作為目的地。 IP 位址範圍需要您手動識別並維護 Key Vault 服務的所有輸出 IP 位址，這不僅工作量大，而且當這些位址變更時，還可能導致組態過時，不符合最少工作的要求。